Linux's Oktober 2026 TCP Use-After-Free: CVE-2026-98432

Overzicht

De stabiele kernels van Linux hebben op 11 en 15 oktober 2026 een fix uitgebracht voor CVE-2026-98432. Dit is een use-after-free kwetsbaarheid in de IPv4 TCP-handshake die bereikbaar is voor een ongeauthenticeerde externe partij. De CVE Numbering Authority (CNA) van de kernel scoort deze kwetsbaarheid als CVSS 3.1 9.8 (Kritiek).

De herstelde versies zijn 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 en 7.3. De bug is aanwezig in versies teruggaand tot Linux 4.4. Hoewel de upstream fix slechts uit vier regels code bestaat, draaien de meeste servers op kernels van distributies. Per 31 oktober, 17:15 CDT, staat de tracker van Ubuntu voor elke release nog op "Vulnerable". Red Hat, dat de bug inmiddels ook als Kritiek classificeert, vermeldt dat RHEL 8, 9 en 10 zijn getroffen en dat er nog geen fix beschikbaar is.

Samenvatting status

  • Getroffen: Linux vanaf versie 4.4, lager dan 5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.56 / 7.2.10. (Controleer de tracker voor distributie-specifieke kernels).
  • Oplossing: Installeer de herstelde kernel van uw distributie en herstart het systeem. Debian, de huidige SUSE Enterprise, Oracle UEK en Amazon Linux hebben een fix; Ubuntu en RHEL (nog) niet.
  • Tijdelijke maatregelen (bij uitblijven patch): Gooi TCP-pakketten weg die IPv4-opties bevatten (zie interim-regel van Atlas), schakel multipath TCP uit als u dit niet gebruikt, en patch eerst hosts met multipath TCP-listeners.

Urgentie: De bug bevindt zich in code die elke Linux-server uitvoert bij het accepteren van een IPv4 TCP-verbinding, nog voordat een applicatie de verbinding ziet. Anthropic, wiens onderzoeker de bug rapporteerde, meldt dat hun Claude-model een werkende proof-of-concept exploit schreef die commando's als root uitvoert op "Linux-servers met een multipath TCP-listener", zonder inloggegevens. Volgens het Go Security Team openen Go-programma's deze listeners standaard.

Belangrijke feiten

VeldDetail
CVECVE-2026-98432, "ipv4: free inetopt and ireqopt after an RCU grace period," uitgegeven door de Linux kernel CNA.
ErnstKritiek, CVSS 3.1 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Red Hat verhoogde de score op 30 oktober van Important (8.1) naar Kritiek (9.8). SUSE classificeert het als 'important', Ubuntu als 'High', en Oracle en Amazon als 'Important' (CVSS 3.1 8.1).
ZwakteUse-after-free van IPv4-optiegegevens tijdens de TCP-handshake.
ImpactVolgens de CNA: lekken van kernel heap-inhoud naar de externe partij, corruptie van kernelgeheugen of een crash. Red Hat stelt dat een ongeauthenticeerde externe aanvaller een race-conditie kan exploiteren om remote code execution (RCE) te triggeren.
Hersteld in7.2.10 en 6.18.56 (11 okt) $\cdot$ 6.12.113, 6.6.159, 6.1.190, 5.15.223 en 5.10.272 (15 okt) $\cdot$ 7.3 (18 okt).
Nog geen fixUbuntu (alle releases) en Red Hat Enterprise Linux (RHEL) 8, 9 en 10 (per 31 okt, 17:15 CDT). Fixed kernels voor AlmaLinux zijn nog in testfase. Upstream branches vóór 5.10 die end-of-life zijn, krijgen geen fix.
Proof of ConceptAnthropic meldt dat Claude een remote root exploit heeft gebouwd voor servers met een multipath TCP-listener. De exploit is niet gepubliceerd.
CVE-registersGepubliceerd op cve.org op 15 oktober. NVD heeft het als "Received" staan zonder eigen analyse (per 31 okt, 17:15 CDT).
CreditsGerapporteerd door Xinyang Ge van Anthropic. Hersteld door Eric Dumazet en gereviewd door Kuniyuki Iwashima.

Wie is getroffen?

Elke Linux-kernel vanaf versie 4.4 die de fix mist, ongeacht of deze direct het netwerk bedient of containers host (containers draaien op de kernel van de host, dus een nieuwe image lost dit niet op). Verbindingen via IPv6 zijn niet getroffen door het hoofdprobleem.

Status per release-lijn (per 31 okt, 2026)

Release-lijnStatusHersteld inDatum release
7.3Mainline7.3 (van 7.3-rc7)18 okt, 2026
7.2Stable7.2.1011 okt, 2026
6.18Longterm6.18.5611 okt, 2026
6.12Longterm6.12.11315 okt, 2026
6.6Longterm6.6.15915 okt, 2026
6.1Longterm6.1.19015 okt, 2026
5.15Longterm5.15.22315 okt, 2026
5.10Longterm5.10.27215 okt, 2026
4.4 – 5.4End-of-life (upstream)Alleen distro-fixes—

Status per distributie

Distributie-kernels gebruiken backported fixes onder hun eigen versienummers. Status per 31 oktober, 17:15 CDT:

  • Ubuntu: De tracker vermeldt het linux pakket als "Vulnerable" voor elke release. Voor 26.10, 26.04, 24.04 en 22.04 wordt "work in progress" toegevoegd aan specifieke versies (7.3.0-10.10, 7.0.0-43.43, 6.8.0-149.149 en 5.15.0-203.213). Voor 20.04, 18.04 en 16.04 staat enkel "Vulnerable". Er is nog geen Ubuntu Security Notice gepubliceerd.
  • Red Hat: Geklassificeerd als Kritiek (CVSS 3.1 9.8) sinds 30 oktober. RHEL 8, 9, 10 en OpenShift Container Platform 4 en 5 zijn getroffen; er is nog geen fix. RHEL 6 en 7 zijn niet getroffen. Bulletin RHSB-2026-016 meldt dat Red Hat de release van fixes versnelt en biedt een nftables-mitigatie aan.
  • AlmaLinux: Herstelde kernels voor AlmaLinux 8, 9 en 10 bevinden zich sinds 30 oktober in de testing repository.
  • Debian: Hersteld in 12 "bookworm", 13 "trixie" en unstable.
  • SUSE: Geklassificeerd als 'important'. SUSE Linux Enterprise Server 16.0 en de 15 SP4, SP5 en SP6 LTSS kernels zijn hersteld; 15 SP7 is in behandeling. openSUSE Leap 16.0 is hersteld, Leap 15.6 is nog getroffen.
  • Oracle Linux: Geklassificeerd als 'Important' (CVSS 3.1 8.1). Unbreakable Enterprise Kernel (UEK) errata voor Oracle Linux 7, 8, 9 en 10 verschenen op 16 oktober.
  • Amazon Linux: Geklassificeerd als 'Important' (CVSS 3.1 8.1). Elke kernel is hersteld (zowel Amazon Linux 2023 als Amazon Linux 2).

Hoe de kwetsbaarheid werkt

Wanneer een Linux-server een TCP-verbinding accepteert, houdt de kernel de half-open handshake bij in een lichtgewicht "request socket". Zodra de handshake voltooid is, wordt een volledige socket aangemaakt. Als de IPv4-header van de verbindende partij opties bevat, bewaart de kernel deze om ze in de antwoorden te echo'en.

De bug: de kernel gaf deze bewaarde opties van de request socket door aan de nieuwe verbinding zonder ze te kopiëren, en gaf ze vervolgens onmiddellijk vrij wanneer de verbinding wegviel. Tegelijkertijd kon een andere CPU deze gegevens nog lezen om een handshake-antwoord op te bouwen. Het lezen van vrijgegeven kernelgeheugen is een use-after-free.

De aanvaller heeft geen login nodig; alles gebeurt in de handshake-afhandeling van de kernel, voordat applicatiecode wordt uitgevoerd. De CNA meldt dat verouderde data kan lekken naar de peer, kernel-schrijfacties buiten de grenzen kan sturen of de machine kan laten crashen. Anthropic stelt dat een verloren "race" enkel de handshake doet mislukken zonder het systeem te crashen, waardoor een aanvaller oneindig vaak kan proberen tot succes.

De oplossing

De commit van Eric Dumazet, "ipv4: free inetopt and ireqopt after an RCU grace period", vervangt twee gewone kfree() aanroepen door kfree_rcu(). Dit zorgt ervoor dat er gewacht wordt tot elke lezer klaar is met het geheugen voordat het daadwerkelijk wordt vrijgegeven.

De commit lost ook hetzelfde probleem op bij request-socket migratie (net.ipv4.tcpmigratereq=1 of een BPFSKREUSEPORTSELECTOR_MIGRATE programma). Een gerelateerde IPv6-case zal in een aparte patch worden behandeld.

Technische details commit:

  • torvalds/linux · e3f33b0 · Oct 1, 2026
  • Bestanden gewijzigd: net/ipv4/afinet.c en net/ipv4/tcpipv4.c.

Welke servers zijn blootgesteld?

Elke Linux-host die IPv4 TCP-verbindingen accepteert op een getroffen kernel: webservers, SSH, databases, load balancers en Kubernetes-nodes.

Specifieke risicogroep: Multipath TCP (MPTCP) Hosts met een MPTCP-listener lopen het meeste risico. Dit is de configuratie die de exploit van Anthropic vereist. Een server heeft hier alleen een listener voor als een applicatie een MPTCP-socket opent. Go-programma's doen dit standaard (sinds Go 1.24). Dit geldt alleen als de kernel MPTCP toestaat (net.mptcp.enabled = 1). Het Go Security Team merkt op dat de onderliggende bug niet specifiek is voor MPTCP en dat systemen zonder MPTCP-listeners mogelijk ook kwetsbaar zijn voor soortgelijke aanvallen.

Hoe uw systemen te controleren

De kernel controleren

uname -r                             # De huidige draaiende kernel
uname -v                             # Debian: de draaiende pakketversie
dpkg -l 'linux-image*' | grep ^ii    # Debian/Ubuntu: geïnstalleerde kernelpakketten
rpm -q kernel                        # RHEL en derivaten: geïnstalleerde kernels
needs-restarting -r                  # RHEL (dnf-utils): is een reboot nodig?

Vergelijk het resultaat met de status van uw distributie. Als de geïnstalleerde kernel nieuwer is dan de draaiende kernel, is de fix pas actief na een reboot. Voer dit uit op container-hosts en Kubernetes-nodes, niet binnen containers.

Controleren op multipath TCP-listeners

ss -Mlnp                   # MPTCP listening sockets en de processen die ze bezitten
sysctl net.mptcp.enabled   # 1 betekent dat applicaties MPTCP sockets mogen openen

Een lege resultaat bij ss -M betekent dat er geen MPTCP-listener actief is.

Hoe te herstellen

Kernel updaten en rebooten

Installeer de herstelde kernel van uw distributie en herstart de machine. Een kernel-update wordt pas actief na een reboot. Dit geldt ook voor container-hosts en Kubernetes-nodes.

Maatregelen bij uitstel van patching

Als u nog niet kunt patchen, kunt u nftables- of iptables-regels gebruiken om inkomende IPv4 TCP-pakketten met IP-opties te droppen. TCP-verkeer bevat in de praktijk zelden legitieme IPv4-opties.

Nftables regel (aanbevolen):

nft add table ip cve_2026_98432
nft add chain ip cve_2026_98432 pre '{ type filter hook prerouting priority -300; }'
nft add rule ip cve_2026_98432 pre meta l4proto tcp ip hdrlength gt 5 counter drop

ip hdrlength gt 5 matcht elke IPv4-header die langer is dan het minimum van 20 bytes, wat enkel gebeurt bij opties. Verwijder de regel met nft delete table ip cve202698432.

Iptables regel:

iptables -t raw -I PREROUTING -p tcp -m u32 --u32 "0>>24&0xF=6:15" -j DROP

Deze regel vereist de xt_u32 module. RHEL 9 en 10 kernels laten deze module vaak weg; gebruik daar de nftables-regel.

Multipath TCP uitschakelen: Indien u MPTCP niet gebruikt, kunt u dit uitschakelen om de configuratie die de exploit van Anthropic nodig heeft te verwijderen:

echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf
sudo sysctl -w net.mptcp.enabled=0
sudo ss -Mlnp    # Herstart diensten die eerder MPTCP-listeners hebben geopend

Voor Docker-containers: gebruik --sysctl net.mptcp.enabled=0. Voor individuele Go-programma's: gebruik GODEBUG=multipathtcp=0 in de omgeving.

Tijdlijn en exploitatie-status

Alle tijden in CDT (UTC−5).

DatumGebeurtenis
1 okt, 17:12Eric Dumazet post de fix, crediteert Xinyang Ge (Anthropic).
5 oktFix wordt gemerged in de networking tree van de kernel.
11 oktLinux 7.2.10 en 6.18.56 versche own met de fix.
15 okt, 04:56Linux 6.12.113, 6.6.159, 6.1.190, 5.15.223 en 5.10.272 versche own met de fix; CVE-record wordt gepubliceerd.
16 oktOracle publiceert UEK errata met de fix voor Oracle Linux 7 t/m 10.
18 oktLinux 7.3 wordt uitgebracht met de fix.
24 oktAmazon Linux 2023's kernel6.18 pakket is gefixt.
27 oktAnthropic's Frontier Red Team beschrijft een remote root exploit gebouwd door Claude.
29 okt, 18:34Go Security Team meldt dat Go-programma's sinds versie 1.24 standaard MPTCP-listeners openen.
30 oktAlmaLinux plaatst fixed kernels in testing; Red Hat verhoogt rating naar Kritiek en publiceert bulletin RHSB-2026-016.
31 okt36 GitHub-repositories refereren naar de CVE, waarvan minstens zes een race trigger of PoC beschrijven.

Exploitatie-status: Anthropic meldt dat de exploit willekeurige commando's als root uitvoert zonder credentials of gebruikersinteractie op servers met een MPTCP-listener. In hun PoC duurt het 48 minuten om een kernel-pointer te lekken en nog eens vijf minuten om shell-commando's uit te voeren. De CVE staat op dit moment niet in de CISA Known Exploited Vulnerabilities (KEV) catalogus.

Updates van dit bericht

  • 31 oktober, 17:15 CDT: Bijgewerkt met Red Hat's rating-wijziging naar Kritiek, mitigatie uit RHSB-2026-016, informatie van het Go Security Team, status van AlmaLinux en Amazon Linux, openSUSE Leap 16.0 fix, stappen om MPTCP uit te schakelen, de iptables-variant van de regel en beperkingen bij bridged container traffic en CIPSO.

Bronnen

  • Linux kernel: fix commit e3f33b0, patch on lore, stable commits, kernel.org releases.
  • CVE records: cve.org, NVD.
  • Advisories: Red Hat RHSB-2026-016, AlmaLinux, Go Security Team.
  • Distributies: Ubuntu, Red Hat, AlmaLinux, Debian, SUSE, Oracle Linux, Amazon Linux.
  • Research: Anthropic: "Discovering and exploiting vulnerabilities in critical, real-world software with Claude".